01. การปกป้องบัญชี AWS Root ด้วย Multi-MFA
บัญชี AWS Root มีสิทธิ์สูงสุดในการจัดการทรัพยากรและการเรียกเก็บเงินทั้งหมด มาตรฐาน CIS AWS Foundations Benchmark กำหนดให้ต้องเปิดใช้ MFA บนบัญชี Root ปัจจุบัน AWS อนุญาตให้ผูกอุปกรณ์ MFA ได้สูงสุดถึง 8 ตัวต่อหนึ่งบัญชี Root เพื่อให้มีอุปกรณ์สำรองในกรณีฉุกเฉิน
02. การบังคับใช้ MFA ในระดับ IAM Policy (aws:MultiFactorAuthPresent)
เพื่อป้องกันไม่ให้ผู้ใช้ลบฐานข้อมูลสำคัญ (RDS) หรือบัคเก็ต S3 โดยไม่ผ่านการยืนยันตัวตนแบบสองชั้น สามารถเพิ่มเงื่อนไข aws:MultiFactorAuthPresent ลงในนโยบาย IAM:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "BlockSensitiveWithoutMFA",
"Effect": "Deny",
"Action": ["rds:DeleteDBInstance", "s3:DeleteBucket"],
"Resource": "*",
"Condition": {
"BoolIfExists": { "aws:MultiFactorAuthPresent": "false" }
}
}
]
}
03. การจัดการเซสชัน AWS CLI ด้วย STS GetSessionToken
เมื่อต้องการรันคำสั่งผ่าน Command Line ให้ใช้คำสั่ง aws sts get-session-token พร้อมระบุ ARN ของอุปกรณ์ MFA และรหัส 6 หลักเพื่อรับ Temporary Credentials ที่มีอายุการใช้งานจำกัด